335. 내부 확장·측면 이동 — 다단계 홉(multi-hop) 이동 탐지

목록 보기

335/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 35/50편 (전체 335/450)
학습 단계: 내부 정찰·확산 경로
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

공격자는 탐지 회피와 세그먼트 우회를 위해 여러 호스트를 연쇄 경유(multi-hop)합니다. A→B→C→D로 이어지는 홉 체인은 각 구간은 평범해 보이지만, 연결하면 탐지를 우회해 핵심 자산에 도달하는 경로가 드러납니다.

다단계 홉(multi-hop) 이동
 A → B → C → D (각 홉은 짧은 거리)
 목적:
  · 탐지 회피(각 구간은 평범)
  · 세그먼트 우회(직접 불가 구간 경유)
  · 출처 은닉(여러 홉 뒤에 공격자)

핵심: 개별 홉이 아닌 체인 전체를 봐야 탐지

단일 이동만 보면 평범하지만, 홉을 연결(상관)하면 체인이 보입니다. 짧은 시간 내 연쇄 이동(A→B 직후 B→C)이 신호입니다.

2. 왜 중요한가

다단계 홉은 각 구간을 평범하게 만들어 단일 이벤트 탐지를 회피합니다.
세그먼트 우회(직접 닿지 못하는 구간을 경유)에 홉 체인이 쓰입니다.
짧은 시간 내 연쇄 이동(홉 간 시간 근접)이 체인의 핵심 신호입니다.

3. 핵심 명령어 / 설정

특징	설명	탐지
홉 체인	A→B→C→D	연쇄 상관
시간 근접	홉 간 짧은 간격	타임라인
계정 승계	홉마다 자격 재사용	G12·G32
세그먼트 우회	경유로 도달	경로 매핑
출처 은닉	여러 홉 뒤	역추적

4. 실습 (실습 예시)

# 다단계 홉 이동 탐지 (분석 방법)
# 연쇄 이동(수신 직후 송신) 추적
sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -E 'ppid_comm="sshd".*comm="ssh"' | tail
# 홉 간 시간 근접(한 호스트가 수신+즉시 송신)
echo "호스트가 SSH 수신 직후 다른 호스트로 SSH 송신 → 홉 경유지"

5. 정상 상태

$ (연쇄 이동) (없음 — 각 호스트는 종단, 경유 없음)

각 호스트가 이동의 종단(경유 안 함)이고, SSH 수신 직후 다른 호스트로 송신하는 연쇄가 없는 상태가 정상입니다.

6. 이상 상태

$ (연쇄 이동)
web01: SSH 수신 → 직후 ssh db01 (경유 1)
db01: SSH 수신 → 직후 ssh app01 (경유 2)
app01: SSH 수신 → 직후 ssh dbmaster (경유 3)
→ web01→db01→app01→dbmaster 홉 체인

각 호스트가 SSH 수신 직후 다음으로 송신 → 경유지(홉)
짧은 시간 연쇄 → 다단계 홉 체인
홉 연결 → 핵심 자산 도달 경로 → 정탐

7. 로그 분석 (분석 방법)

다단계 홉 이동 분석입니다(가상의 예시).

[공격자] 외부
   ↓ 홉1
web01 (수신→송신)
   ↓ 홉2
db01 (수신→송신)
   ↓ 홉3
app01 (수신→송신)
   ↓ 홉4
dbmaster (핵심 자산 도달)
 = 4-홉 체인 — 개별은 평범, 연결하면 공격 경로
[탐지] 수신 직후 송신(경유) + 시간 근접 연쇄

홉	역할
web01	진입
db01·app01	경유지
dbmaster	목표
체인	연쇄 상관

수신 직후 송신하는 경유지의 연쇄가 다단계 홉의 지표입니다.

8. SOC 관제 포인트

다단계 홉(multi-hop)은 여러 호스트 연쇄 경유로 탐지를 회피하며 핵심 자산에 도달합니다.
각 구간은 평범하므로 홉을 연결(상관)해야 체인이 드러납니다.
수신 직후 송신(경유지) + 짧은 시간 연쇄 이동이 핵심 신호입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106340" level="14">
    <if_sid>106000</if_sid>
    <field name="audit.ppid_comm">sshd</field>
    <field name="audit.comm">ssh</field>
    <description>SSH 수신 직후 재송신(다단계 홉 경유지)</description>
    <mitre><id>T1021.004</id><id>T1090</id></mitre>
  </rule>
</group>

호스트의 인바운드 SSH와 직후 아웃바운드 SSH를 상관해 경유지를 포착합니다. 점프 호스트(bastion) 등 정상 경유는 기준선 예외로 둡니다.

10. 대응 방법

초기 확인 — 각 호스트의 SSH 수신 직후 재송신(경유) 여부를 확인합니다.
범위 확인 — 홉 체인·시간 근접·계정 승계·세그먼트 우회를 확인합니다.
증거 확보 — 홉별 이벤트와 연쇄 타임라인을 보존합니다.
차단/조치 — 다단계 홉 정탐이면 전 홉 경로 차단·경유지 격리·역추적을 진행합니다.
재발 방지 — 다단계 홉 이동 탐지를 운영합니다.

11. 핵심 정리

특징	설명
홉 체인	A→B→C→D
시간 근접	홉 간 짧은 간격
계정 승계	홉마다 자격 재사용
세그먼트 우회	경유로 도달
면접 포인트	"홉 체인은 개별은 평범 — 수신 직후 송신(경유) 연쇄가 탐지 열쇠"